Notification
Signaler les incidents aux parties prenantes et aux autorités.
Notification est défini par le résultat NIST CSF 2.0 RS.CO-02 (Internal and external stakeholders are notified of incidents). Correspondance Mis en correspondance par une correspondance publiée dans ISO 27001, PCI DSS, CMMC, 800-53, HIPAA et NIS2. Éditorial Mis en correspondance de manière éditoriale dans CIS v8.1, SOC 2, GDPR, Essential Eight, DORA et CPS 234. Aucune correspondance dans nos données Aucune correspondance dans nos données pour Cyber Essentials.
| Référentiel | Exigence | Titre | Lien | Source / motif |
|---|---|---|---|---|
| NIST CSF 2.0 | RS.CO-02 | Internal and external stakeholders are notified of incidents | Définition du sujet | RS.CO-02 |
| ISO 27001 | A.5.5A.6.8 | Contact with authorities; Information security event reporting | Correspondance | A.5.5: via NIST 800-53 map: IR-6 A.6.8: via NIST 800-53 map: IR-6 |
| CIS v8.1 | CIS 17.3 | Establish and Maintain an Enterprise Process for Reporting Incidents | Éditorial | CIS 17.3: Enterprise process for reporting incidents; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. |
| SOC 2 | CC2.3 | Communication with external parties | Éditorial | CC2.3: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 12.10.1 | Incident response plan ready to activate | Correspondance | 12.10.1: via RS.CO-02 |
| CMMC | IR.L2-3.6.2 | Incident Reporting | Correspondance | IR.L2-3.6.2: via 800-171r3 03.06.02 ↔ RS.CO-02 → IR-6; 800-171r2 Appendix D → IR-6 |
| 800-53 | IR-6 | Incident Reporting | Correspondance | IR-6: via RS.CO-02 |
| HIPAA | §164.308(a)(6)(ii) | Response and Reporting | Correspondance | §164.308(a)(6)(ii): via NIST HIPAA map: IR-6 |
| GDPR | Art.33(1)Art.34(1) | Notification of a personal data breach to the supervisory authority; Communication of a personal data breach to the data subject | Éditorial | No official crosswalk exists for GDPR; ControlMapping editorial mapping. |
| NIS2 | 3.3 | Event reporting | Correspondance | 3.3: via RS.CO-02; ENISA ISO map: A.6.8 |
| Essential Eight | ISM-0123ISM-0140 | Cyber security incidents are reported to the chief information security officer, or one…; Cyber security incidents are reported to ASD as soon as possible after they occur or… | Éditorial | ASD assigns these ISM controls to the Essential Eight; ASD publishes no crosswalk to NIST or ISO, so linking them to topics is ControlMapping editorial. |
| DORA | Art.19(1)Art.19(4)Art.19(3)Art.18(1) | Reporting of major ICT-related incidents and voluntary notification of significant cyber threats; Reporting of major ICT-related incidents and voluntary notification of significant cyber threats; Reporting of major ICT-related incidents and voluntary notification of significant cyber threats… | Éditorial | Art.19(1): Report major ICT-related incidents to the competent authority. Art.19(4): An initial notification, intermediate reports and a final report. Art.19(3): Inform clients without undue delay when a major incident affects their financial interests. Art.18(1): The classification criteria decide which incidents are major and therefore reportable. |
| CPS 234 | Para 35Para 36 | Notify APRA of material incidents within 72 hours; Notify APRA of material control weaknesses within 10 business days | Éditorial | Para 35: Notify APRA within 72 hours of becoming aware of a material information security incident. Para 36: Notify APRA within 10 business days of a material control weakness that can't be remediated in time. |
| Cyber Essentials | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence Cyber Essentials n'est mise en correspondance avec ce thème dans nos données. |
Définition du sujet Résultats CSF 2.0 qui définissent ce thème · Correspondance au moins un choix appuyé par une table de correspondance publiée · Éditorial Jugement de ControlMapping, avec le motif · non mappé, partage seulement les résultats CSF de ce thème · Aucune correspondance dans nos données rien de mappé dans nos données ; souvent un travail nouveau, mais consultez les notes de couverture. Méthodologie.
Les identifiants et intitulés des exigences sont présentés tels que chaque référentiel les publie, en anglais.
Correspondance erronée ou manquante ? Signaler
À propos de Notification
La notification des incidents garantit que les événements de cybersécurité sont documentés et communiqués aux parties prenantes internes concernées, aux organismes de réglementation et aux services de police, conformément aux lois applicables et aux obligations contractuelles. Les rapports doivent comprendre la chronologie des incidents, les systèmes et données touchés, les mesures de confinement prises, l'analyse des causes profondes et les étapes de remédiation. Les organisations doivent rester informées de l'ensemble des exigences de notification applicables, y compris les réglementations sectorielles telles que les règles de notification des violations de HIPAA, les exigences de signalement de la CISA pour les infrastructures critiques, et les engagements contractuels en matière de accords de niveau de service (SLA) envers les clients et partenaires.